Previsioni sulla sicurezza di Frontline 2026: Le tecniche di phishing per cui prepararsi

Anticipare le minacce guidate dall'IA e come le tattiche si evolveranno nell'anno a venire

Conclusioni

• I kit di phishing stanno rapidamente evolvendo, ora sono in grado di lanciare milioni di attacchi e aumentano continuamente in sofisticazione e capacità di elusione.
• Per il 2026, si prevede che i kit di phishing di nuova generazione utilizzeranno strumenti avanzati per costruire profili social dettagliati dei bersagli, eludere l'autenticazione a più fattori e impiegare l'IA per attacchi più mirati e personalizzati.
• Il modello di business PhaaS probabilmente si sposterà verso livelli di abbonamento strutturati, che vanno dai kit di base a campagne altamente sofisticate basate su IA.
• Entro la fine del 2026, si prevede che oltre il 90% degli attacchi di compromissione delle credenziali sarà abilitato da kit di phishing, rappresentando oltre il 60% di tutti gli incidenti di phishing.

Nel 2025, il panorama del phishing è stato alimentato dalle forze combinate dell'IA, dai kit Phishing-as-a-Service (PhaaS) in evoluzione e da tecniche di consegna e evasione sempre più sofisticate. In questo articolo, gli analisti delle minacce di Barracuda guardano avanti a ciò che il prossimo anno potrebbe portare per questa minaccia duratura e in continua evoluzione.

Come il phishing è evoluto nel 2025

Un anno fa, il team ha previsto che i kit PhaaS avrebbero rappresentato la metà di tutti gli attacchi di furto di credenziali entro la fine del 2025, rispetto a circa il 30% nel 2024. La proporzione effettiva si è rivelata essere leggermente superiore alla metà.

Più significativamente, il numero di kit di phishing è raddoppiato nel 2025. Ogni kit è abbastanza potente da lanciare milioni di attacchi. Questi kit sono in continua evoluzione, diventando nel tempo sempre più sofisticati e difficili da individuare. Il team ha riportato regolarmente su alcuni dei kit di phishing più diffusi durante l'anno.

Basandosi su questi sviluppi e altro ancora, il team di analisi delle minacce ha elaborato una serie di previsioni su come il panorama potrebbe evolversi nei prossimi 12 mesi per aiutare i team di sicurezza a comprendere e prepararsi a ciò che li attende.

Cosa ci aspetta nel 2026

Kit di phishing 2.0

Sia i kit di phishing affermati che quelli emergenti utilizzeranno strumenti per costruire profili social dettagliati dei bersagli. Impiegheranno tattiche automatizzate per aggirare le misure di sicurezza come l'autenticazione multifattoriale (MFA) rubando token di accesso o inoltrando l'autenticazione tramite il sito web legittimo per superare le protezioni. Faranno un uso maggiore dell'IA per sviluppare i loro kit e rendere gli attacchi più personalizzati ed efficaci.

• Il modello di business per i kit PhaaS di nuova generazione presenterà livelli di abbonamento strutturati, che vanno dai kit di phishing di base a campagne altamente mirate e sofisticate personalizzate con IA.
• Entro la fine del 2026, prevediamo che oltre il 90% degli attacchi di compromissione delle credenziali sarà attribuito all'uso di kit di phishing, rappresentando più del 60% di tutti gli attacchi di phishing.

Tecniche di evasione dinamica e payload personalizzati

Gli attaccanti passeranno da tattiche statiche ad approcci dinamici e contestuali con payload personalizzati in base al dispositivo, all'attività dell'utente o al tempismo per eludere il rilevamento automatico.

Tecniche avanzate di evasione e anti-rilevamento che si prevede aumenteranno di volume includono:

• Nascondere codice dannoso in file di immagini e audio innocui (steganografia).
• ‘ClickFix’ tecniche di ingegneria sociale in cui un utente viene ingannato a eseguire manualmente un comando dannoso che è stato segretamente copiato negli appunti.
• Più codici QR suddivisi e nidificati negli attacchi e l'introduzione di codici QR dinamici e multi-stadio.
• Uso improprio diffuso di OAuth (Open Authorization) — un sistema ampiamente utilizzato per accedere ad app o servizi senza condividere una password.
• Tecniche di evasione degli URL altamente avanzate, inclusi l'uso di URI Blob effimeri. Blob URIs sono un tipo di indirizzo web utilizzato per memorizzare dati localmente in memoria, e gli attaccanti li preferiscono perché non vengono caricati da server esterni e possono ospitare pagine di phishing nel browser della vittima, rendendoli difficili da rilevare con misure tradizionali.
• Iniezione di codice dinamico e script dannosi completamente camuffati.

Campagne auto-adattive basate su IA

• Gli attaccanti utilizzeranno l'IA generativa per creare messaggi personalizzati su larga scala e per adattare rapidamente le campagne.
• Questi attacchi basati su IA si muoveranno rapidamente e presenteranno una crittografia migliorata, livelli più profondi di offuscamento e payload adattivi.
• Gli attaccanti dovrebbero anche intensificare i loro sforzi per sfruttare l'IA stessa utilizzando tecniche di prompt-injection e prendendo di mira agenti IA, con l'obiettivo di manipolare o compromettere gli strumenti di sicurezza abilitati all'IA.

furto e inganno del codice MFA

• Ci sarà un aumento del furto di codici MFA tramite phishing, utilizzando tattiche come la fatica da approvazione push e gli attacchi di relay.
• L'ingegneria sociale prenderà di mira i flussi di recupero MFA, come i codici di reimpostazione della password o altre opzioni di recupero dell'account.
• Gli attaccanti utilizzeranno anche l'ingegneria sociale per attacchi di downgrade MFA, cercando di aggirare l'autenticazione resistente al phishing forzando o ingannando l'utente a selezionare un metodo di autenticazione alternativo che è più facile da superare.

Altri attacchi abuseranno dei CAPTCHA

• Le campagne di phishing avanzate stanno utilizzando sempre più spesso CAPTCHA per ingannare le vittime facendole sentire al sicuro e per nascondere le vere intenzioni degli attaccanti. Il team prevede che entro la fine del 2026, oltre l'85% degli attacchi di phishing utilizzerà CAPTCHA per eludere gli strumenti di sicurezza automatizzati e garantire che le interazioni siano eseguite da un umano.
• Gli attaccanti si stanno anche allontanando dai CAPTCHA legittimi e affidabili verso alternative false, e ci aspettiamo che ciò aumenti nel 2026.

Tattiche più polimorfiche

• Un attacco polimorfico è un attacco che cambia continuamente il suo contenuto, i payload, i modelli di consegna o le impronte tecniche in modo che ogni istanza appaia diversa, rendendo inefficaci il rilevamento automatico e le difese basate su firme.
• Le tecniche popolari che si prevede aumenteranno nell'uso — soprattutto tra i kit di phishing — includono l'uso di stringhe alfanumeriche casuali nel corpo o nell'oggetto dell'e-mail, l'offuscamento dell'indirizzo del mittente o l'utilizzo di intestazioni lunghe che includono timestamp o nomi dei destinatari nell'oggetto, l'uso di link leggermente diversi in ogni e-mail e la variazione dei nomi degli allegati.

Ulteriore sfruttamento di piattaforme legittime

• Nel 2025, circa il 10% degli attacchi di phishing ha sfruttato piattaforme legittime, in linea con il 2024. Il team prevede che la percentuale rimanga stabile durante il 2026.
• Gli attaccanti sfrutteranno sempre più le piattaforme zero-code basate su IA per costruire e ospitare rapidamente siti di phishing. Questi strumenti eliminano le barriere tecniche, consentendo agli attori delle minacce di lanciare campagne sofisticate su larga scala con uno sforzo minimo.

Targeting dei servizi di protezione degli URL e mascheramento degli URL

• Lo sfruttamento dei servizi di protezione degli URL e delle tattiche di mascheramento degli URL, come l'abuso di reindirizzamenti aperti, link di marketing/tracciamento e URL legittimi, è in aumento e nel 2025 è stato osservato in circa il 25% degli attacchi di phishing. Prevediamo che questa tendenza al rialzo continui.

Minacce più avanzate basate su malware

• Gli attacchi di malware si prevede diventeranno più sofisticati, con un aumento del malware fileless, che si nasconde nella memoria del dispositivo, e dei payload polimorfici che possono eludere le difese tradizionali basate su firme.
• Malware-as-a-Service si evolverà e prospererà.

Oltre alle nuove e in evoluzione tecniche descritte sopra, il team si aspetta che approcci tradizionali e duraturi come le truffe relative a risorse umane e paghe, le truffe relative a consegne e logistica, le false notifiche MFA, le truffe fiscali e dei servizi governativi, e le truffe di condivisione file continuino.

Protezione contro tecniche in evoluzione

Le minacce di phishing sono avanzate significativamente nel 2025, diventando più prolifiche, complesse ed elusive. Queste tendenze continueranno nel 2026 e oltre. La sicurezza e-mail dovrebbe essere un componente critico di una strategia di sicurezza robusta e ciber-resiliente.

Poche organizzazioni sfuggono all'impatto di un attacco di phishing o di ingegneria sociale. La nostra ultima ricerca di mercato mostra che 78% delle organizzazioni ha subito una violazione della sicurezza e-mail nei 12 mesi precedenti. Più tempo impiega la vittima a rilevare e contenere la minaccia, più profondo è il danno.

Gli approcci tradizionali non sono più sufficienti per tenere a bada il phishing avanzato. Le organizzazioni necessitano di una piattaforma di sicurezza integrata basata su IA come BarracudaONE, con supervisione 24/7 e una solida cultura della sicurezza.